2.コンピュータ犯罪

職場や自分のパソコンへのログイン、オンラインショッピング、銀行口座など、日常生活ではユーザーネームやパスワードの入力が必要となることが多くあります。これらは、個人情報へのアクセスの制限や情報盗難を防止したりするうえで重要な役割を果たしています。しかし、依然として情報の保護に無関心なユーザーが多いのも事実です。

実際、ユーザーネームやパスワードは、推測、窃盗、解析などの方法により第三者にも入手可能とされています。

◇推測可能なユーザー情報

近年、パスワードの推測性に関する研究は世界中で広く行われています。研究結果によれば、現在使用されているパスワードの69パーセントは推測が容易であるとされており、このうち自分の名前やニックネームは19パーセント、配偶者の名前やニックネームは11パーセント、その他にもペットや家族の名前や誕生日、好きなスポーツチームや芸能人、車のナンバーや昔の住所などの単純なパスワードが多く使用されていることが分かっています。これに対し、大文字や小文字、数字、記号の組み合わせなど推測困難な暗号をパスワードに設定しているユーザーはわずか9パーセントにとどまっています。

推測されやすいパスワードの例：

・自分の名前（逆読みも不可）
・自分の誕生日
・自分の名前＋誕生日
・自分の星座
・自分の電話番号（昔のものも不可）
・自分の住所（昔のものも不可）
・自分の家族、配偶者、昔の彼氏・彼女、友人、ペットなどの名前、誕生日、電話番号、住所
・自分の出身地
・好きな旅行先
・車のナンバー
・好きな野球チーム、選手
・好きなアーティスト
・好きな俳優
・好きな本の登場人物

これは一部の例すぎませんが、上記を参考にして推測される可能性の高いパスワードは絶対に使用しないようにしてください。

◇ユーザー情報の窃盗

実際に第三者がユーザー情報を盗み取ることは可能であり、パスワードを入力している人の背後から指の動きなどを盗み見したり、小さな盗撮カメラを設置したり、キーボードの入力履歴を記録するウィルスをパソコンに仕掛るなどの方法がとられています。プロバイダーや銀行関係者が犯行を実施するケースもあり、この場合は防止の手立てがないため運に任せるしかありません。

日頃から盗難の可能性を考慮し、財布、携帯電話、電子手帳、ノートパソコンなどに重要な情報は残さないようにしてください。パスワードをデスクトップの画面や机の引き出しなどに付箋で貼ることも避けてください。パソコンのログイン用にパスワードを設定していても、中の個人情報が完全に保護できるとは限りません。ある調査では、パスワードをメモに残している人は33パーセント、他人から聞かれたら躊躇なく答える人は34パーセントに上っています。また、英国で通勤者を対象に行われた路上調査では、チョコレートバーと引き換えに職場で使用しているパスワードを教えてほしいともちかけたところ、およそ70パーセントにも及ぶ人が回答したといわれています。

以上のことを考慮し、いかなる形でもパスワードを保存することは避け、絶対に他人に教えないようにしてください。

新しいパスワードを設定するとき、記憶するためにメモすることがあるかもしれません。その際は、裂いたり燃やしたりするなどしてすぐに処分してください。

パスワード再発行のための質問には、数字やアルファベットの羅列など推測困難な回答を設定してください。例えば、「あなたの母親の旧姓は？」などの質問にも真実ではなく「3W(vq????#785;A2bg]? 」など、可能な限り暗号を使用してください。たいていの場合、古いパスワードを無効にして新しいパスワードを発行することが可能です。

◇複数のパスワードの併用

1人が所有するパスワードの平均は4つとされていますが、多い人ではその数は40にまで及びます。複数のパスワードを記憶することは容易ではないため、たいていの人はすべてに同じパスワードを使用してしまいがちです。

・複数のサイトに同じパスワードを使用している人は、3つ以上のサイトでは51パーセント、10以上のサイトでは6パーセントという統計結果が出ています。
・米ニューヨークタイムズ紙へのパスワード再発行の問い合わせは、1週間に1,000件という調査が出ています。さらに、全アカウントのうち10～15パーセントはユーザー情報の紛失により再発行されたものとなっています。
・米Compaq社のヘルプデスクへの問い合わせのうち、パスワード紛失に関するものは全体の50パーセントを占めています。

複数のサイトに同じパスワードを使用すると、第三者により発見される可能性が高くなります。推測されやすいパスワードの使用、パスワードをメモに残すことなどは、そのリスクをさらに高めることになります。

複数のパスワードを設定していても、それが推測容易なものであったりメモしてしまったのでは意味がありません。確実に記憶できるパスワードを1つ使用する方が安全ですが、オンラインバンキングのパスワードには他のサイトと同じものは絶対に使用しないようにしてください。

◇パスワードクラッキング

パスワードクラッキングは、特殊なソフトを使用してパスワードを解読する手法です。「クラッカー」という用語はクラッキングに使用するソフトそのものと使用する人の両方を意味します。インターネット上では、「パスワード復元ソフト」と称したあらゆるクラッキングソフトが無料で入手できます。一般的なクラッキングの手法としては、「ブルートフォース攻撃」と「辞書攻撃」がよく知られています。

◇ブルートフォース攻撃

ブルートフォース攻撃は、文字や数字を総当りで組み合わせ、パスワードを解析する手法です。

クラッキングの被害を防止するためには、通常のキーボードでどのような文字、数字、記号が入力できるかを知っておく必要があります。

・小文字 – 26個
・小文字＋数字（英数字の組み合わせ）- 36個
・小文字＋大文字 – 52個
・ASCII文字（文字、数字、句読点や記号）- 94個
・Altキーを押しながら3桁の数字を入力することによって出てくる文字 – 999個
（ほとんどのプログラムやウェブサイトでは使用不可）

ブルートフォース攻撃を使用したパスワード解析の所要時間は、下記の要素によって異なります。

・パスワードの長さ
・パスワードに使用している文字、記号などのキャラクター数（上記参照）
・クラッキングソフトを使用するパソコンの処理能力

インターネット上で入手できるブルートフォース攻撃用の無料クラッキングソフトを使用した場合、パスワード解析にかかる時間は下記の通りです。（2005年2月現在）

・3つの大文字、小文字の組み合わせ－0.09秒　（例：Cat）
・英数字4つ－1.05秒　（例：jan3）
・小文字6つ－3分　（例：banana）
・英数字7つ－12時間　（例：4x1r0s3）
・ASCII文字6つ－5日間　（例：P@[k3r）

高性能ソフト、スーパーコンピューター、並行処理が可能なパソコンを使用すれば、上記の解析の所要時間は大幅に短縮することができます。さらに科学技術の急速な進歩も伴い、これからは18カ月ごとに半分に短縮されていくとみられています。

ブールートフォース攻撃を防止するためには、まずは短いパスワードを避けることが重要です。最低文字数の目安は、小文字は10文字、英数字は9文字、大文字＋小文字は8文字、ASCII文字は7文字となっています。しかし、インターネット上には攻撃を可能とするあらゆる要素が潜んでいるため、実際はこの数値の2倍の長さのパスワードが必要であると考えてもよいでしょう。しかし実際、どのような手段を講じても偶然にパスワードが簡単に解析されてしまう可能性もあるため、絶対的な防止策を見つけるのは困難であるとされています。

通常は大文字、小文字など同じ種類の文字列から解析が開始されるため、大文字と小文字の複雑な組み合わせを設定すれば、その分解析は困難になると言えます。
（良い例：oBItUarY, 悪い例：Obituary,OBITuary）

◇辞書攻撃

クラッキングに最もよく使用されるのが辞書攻撃では、クラッキング・ソフトの中に組み込まれた辞書を通してパスワードの解析が行われます。ここでは普通の英語辞典に限らず、クラッキング用に巧妙に編集された辞書が使用されます。一般的な名字や名前、有名な地名などパスワードに使用される可能性の高い言葉などはすべて収録され、標的とする人物の使用言語が分かっている場合は、クラッカー自身が該当言語の辞書の内容を追加することもあります。

辞書攻撃の最大の強みは文字の置換機能です。これを使用すれば、どんなに複雑な文字の組み合わせの解析も可能となります。実際に、現在使用されているソフトでは「43r0sm！T＃」のようなパスワードの解析が問題なく行われています。ブルートフォース攻撃と違って、辞書攻撃では大文字と小文字が混ざった長い文字列もほんの数分で解析可能とされています。しかし、どんなに時間がかかっても最終的には必ず解析に成功するブルートフォース攻撃に対し、辞書攻撃は永遠に正しいパスワードにたどりつかないこともあります。

◇レインボー攻撃

最近新しく出てきたクラッキングの手法が、暗号化（ハッシュ化）保存されたパスワードをハッシュテーブルを使用して解析する「レインボー攻撃」と呼ばれるものです。

通常、暗号化されたパスワードは、特別なハッシュ関数という数式によって算出されたハッシュ値で保存されます。パスワードは元のパスワードの長さに関係なくすべて同じ長さのハッシュ値に変換され、ハッシュ値からパスワードへの変換はできないようになっています。ウェブサイト上でパスワードを入力すると、自動的にハッシュ値に変換されてデータに保存されているハッシュ値との照合が行われます。これが一致すれば、パスワードの認証が完了するという仕組みになっています。

ハッシュ値からパスワードへの解析は実質不可能であるため、ハッシュ値は暗号化されずにそのままプレーンテキストで保存されます。一般的によく使用されているハッシュ値変換ソフトは4～5つあり、一般にも広く流通しています。

クラッカーは何らかの手段でユーザーネームとハッシュ値を盗み出し、ハッシュテーブルを使用してパスワードの解析を試みます。辞書などからパスワードの候補をリストアップし、それらの単語の変換後のハッシュ値のリストを作成して正しいパスワードの追跡を行います。この手法を使用すれば、ブルートフォース攻撃や辞書攻撃とは比較にならないほどの早さでパスワードの解析が可能となりますが、あくまでユーザーネームとハッシュ値のリストが入手されていることが前提となります。レインボー攻撃を防止するためには、現時点においてパスワードの長さは少なくとも14文字以上必要とされています。今後さらに、この数値はさらに大きくなるとみられています。

大手銀行などほとんどのウェブサイトでは、クラッキング防止対策が行われています。個人でできる予防策として、Eメールなどで銀行口座の詳細などを送信することは避け、Eメールのパスワードをオンラインバンキングに設定するなど、複数のサイトに同じパスワードを使用しないようにしてください。パスワードを通知するEメールは、確認後すぐに削除するようにしてください。

◇良いパスワードの選び方

・個人的な情報は避ける。（好きなもの、嫌いなものなど）
・大文字や小文字、数字や記号などを組み合わせる。
・最低でも8文字、できれば10文字以上の長さにする。
・単語ではなく短い文章をパスワードに設定する。辞書中の言葉を小文字のみで表記する形でよいが、自分で意味の分かる文章であることが前提。少なくとも20文字以上になるようにする。一般的によく使用されているフレーズなどは避ける。（例：?theraininspainfallsmainlyontheplain?）
・パスワードを設定する場合、どの言語でも辞書上の単語は使用しない。逆さ読みや数字の入れ替えを行ったものも不可。
・昔のパスワードを部分的に変えたものは避ける。（文字の追加、1文字のみの変更など）

◇パスワードを保護するには

・パスワードをメモしたり、データ上に保存したりしない。
・パスワード再発行の質問には、推測可能な回答を設定しない。
・ウィルス対策ソフトとファイア・ウォールをインストールし、定期的に更新する。
・基本ソフトやブラウザーは、常に最新のバージョンに更新しておく。
・パスワードは年1回でも定期的に更新する。
・オンラインバンキングのパスワードは他のサイトには使用しない。
・パスワードを入力する際には、他人から見られていないかどうかを確認する。
・他人には絶対にパスワードを教えない。

最近、偽のウェブサイトやEメールなどを通じたオンライン上の詐欺事件が多発しています。一般的な手口は、大手銀行やオンラインショッピングサイトなど、信頼性のある組織を偽ってＥメールを送信し、「アカウント確認」などといったタイトルでユーザーネームやパスワード、銀行口座などの情報提供を求めるものです。実際、銀行などがEメールで個人情報を尋ねてくることはないため、この種のＥメールを受信した場合は、個人情報の窃盗、悪用を目的とした詐欺行為と考えてほぼ間違いありません。返信は絶対行わないようにしてください。

このほかにも、大手企業のウェブサイトを装った虚偽のウェブサイトを作成し、フィッシングやファーミングなどの詐欺行為を行うケースも発生しています。オンライン詐欺の被害を回避するために、下記の情報、アドバイスを参照してください。

◇フィッシング

フィッシングとは、ウェブサイトとEメールを併用したインターネット詐欺の手口の1つです。銀行など信頼性のある差出人を偽ってメールを送りつけるという点では、上に述べた一般例と共通しています。しかし、フィッシングはメール上で個人情報を要求するのではなく、メールの文面にURLリンクを貼りつけ、自動的に虚偽のウェブサイトに誘導する仕組みになっています。アクセス先のウェブサイトは実在のウェブサイトと酷似しているため、ユーザーは何の疑いも持たずにユーザーネーム、パスワード、銀行口座の詳細などを入力し、商品の購入や残高照会などを行ってしまいます。詐欺行為の発見を遅らせるために、実際にユーザーが注文した商品を本人に発送するケースも報告されています。

以下の点に注意することで、比較的簡単にフィッシング詐欺の被害を避けることができます。

・個人情報の入力が必要なウェブサイト（銀行やインターネットショッピングなど）へのアクセスは、Eメールに添付されているリンクではなく、アドレスの直接入力かお気に入りに登録してあるURLを通じて行ってください。

・未承諾メール（受信者の承諾なしに無差別に送信されるメール）には絶対に返信しないでください。個人情報や銀行口座などを要求するメールには注意が必要です。

・Eメールのアドレスや差出人は偽造も可能であるため、十分に注意してください。

・海外の犯罪組織による、外国人を標的としたインターネット詐欺も多発しているため、メールの文面、文法、表現などが不自然な場合は警戒するようにしてください。

・「懸賞当選のお知らせ」などというタイトルは、虚偽メールである可能性が高くなっています。絶対に返信しないようにしてください。

・インターネット上で個人情報を入力する際、ウェブサイトの信頼性を十分に確認した上で行うようにしてください。通常、個人情報入力のページの下には小さな鍵のアイコンが表示されています。巧妙な偽装を見破るのは困難ですが、これは1つの目印となります。

・不審なメールを受信した場合は、発信先に直接電話で確かめることをお勧めします。Eメールやウェブサイト上の連絡先ではなく、電話帳など信頼性のある情報源で電話番号を確認するようにしてください。

・使用しているパソコンには、ウィルス対策ソフトやファイアウォールをインストールし、定期的に更新するようにしてください。使用ブラウザは、常に最新のバージョンにしておくようにしてください。

・個人情報の窃盗を防止するため、銀行やクレジットカードの明細にはすべて目を通し、不審な引き落としがあった場合は必ず確認をとるようにしてください。

◇インターネットショッピング

オンラインショッピングにより、インターネット上で商品の売買をする人が急増しています。たいていのウェブサイトは信頼性のあるものですが、中には詐欺目的に作られたものもあるため注意が必要です。

1つの例として、海外在住者を対象にした合法ショッピングサイト上で行われたオートバイ、自動車の売買に関する被害が報告されています。出品者への直接送金を希望した購入者から送られてきた小切手は販売希望額を大幅に上回るものであったため、出品者は電信為替で超過料金を返金する手続きをとりました。商品の引渡しなどがすべて完了した後、購入者から送付された小切手は偽物であったことが判明し、出品者は損失を負うことになってしまいました。

インターネット詐欺の被害に遭った場合には、ただちに弊社に連絡し必要なアドバイスを受けてください。

◇虚偽の求人広告

フィッシング詐欺の中でも、求人広告を利用して金銭を騙し取る例が多く報告されています。

虚偽のウェブサイトに気付かず個人情報を提供してしまった場合、好条件の求人情報が記載された偽の求人広告がEメールやインスタントメッセージを通じて送られてくることがあります。求人内容のほとんどは週数時間の自宅からPCを使用して行う仕事となっています。その後、偽の雇用者は銀行口座などの詳細を要求、気が付くと口座から多額の預金が引き落とされるなどの被害が発生しています。

・インターネット上の求人広告に関して、以下の点に注意してください。

・求人内容に、好条件が揃いすぎている場合。

・契約の初期段階で、銀行口座などの詳細を求められた場合。

・雇用者が何らかの理由をつけて海外送金を提示してきた場合。

・ロシア、ラトビア、東ヨーロッパ諸国でこのような手口の詐欺が多発しています。

◇迷惑メール

迷惑メールの中には、開封すると自動的に非合法のウェブサイトに誘導され、トロイの木馬などのウィルスが入ったプログラムをダウンロードさせ、データを破壊、流出させるなどの仕組みになっているものがあります。このような被害を避けるためにも、不審なメールは絶対に開かないようにしてください。パソコンの基本ソフトやブラウザは定期的に更新し、インターネットバンキングなどを使用する場合は十分に注意するようにしてください。

◇ファーミング

ファーミングは、インターネット上で行われている最新の詐欺の手口です。フィッシングとは異なりEメールは使用されず、正規のウェブサイトにアクセスしたユーザーを虚偽のウェブサイトに誘導する仕組みになっています。ファーミングにはあらゆる巧妙な技術が使用されていますが、ほとんどが基本ソフトやブラウザ、ウェブサイトの脆弱性につけこんだものであることが確認されており、被害を防止するだけでなく、被害に遭ったという事実自体を発見するのも困難であると言われています。現時点ではファーミングが行われるのはまれで、過去の発生例も個人情報の窃盗を目的としたものではなく単なるいたずら行為であると報告されています。しかし、ファーミングが個人情報窃盗の主要な手法となるのは時間の問題とみられています。

ファーミングの防止は、ソフトウェア会社やウェブサイトプロバイダーがいかに効果的に脆弱性に対応する製品開発を行っていくかにかかっています。実際、銀行やショッピングサイトなどはサイトの安全性を高めるための開発を進めています。あらゆる被害を避けるためにも、できるだけ最新のソフトウェアを使用することをお勧めします。ウェブサイトに不審な要素がみられる場合には、実際とは異なるユーザーネームとパスワードを入力し、ログインができるかどうか試してみることをお勧めします。これは必ずしも絶対的な手段と言えませんが、ログインに成功すれば虚偽のウェブサイト、失敗すれば本物のウェブサイトであるというような判断材料にはなります。

◇終わりに

現在、虚偽のウェブサイトやEメールを通じたインターネット詐欺が深刻な問題となっています。たいていの被害は、上で述べたような対策を講じておけば抑えることができます。しかし実際、ユーザーの認識如何に関わらず、知らないうちに被害が急速に拡大し、感染元であるソフトの製造会社などが、ソフトの脆弱性を発見するまで放置されている例も少なくありません。

インターネットを通じて商品を注文するオンラインショッピングは非常に便利ですが、リスクが伴うことを十分に考慮して利用する必要があります。オンラインショッピングを安全に利用するためには、以下の点に気をつけてください。

・衝動買いは避け、購入前に商品と販売者を十分に調べてください。

・常識外の価格で販売されている場合は、商品に欠陥があるか販売者に問題がある可能性が高いと考えられます。

・購入の際、サイトに掲載されている販売者のレビューを参考にしてください。否定的な意見がある場合は購入を検討してください。

・あまり有名でないショッピングサイトを利用する場合などは、販売者のレビューなどの項目がない場合があります。購入を検討している販売者が大手サイトにも出品している場合には、そこに掲載されているレビューを参考にしてください。

・連休中は、特に詐欺行為が発生しやすくなっています。

・入手困難な人気商品の購入は、それだけリスクが高くなります。

・注文後、発送に20日以上かかる店舗での購入は避けてください。

ホテルや会議場、オフィス、レストラン、カフェ、商店など、多くの公共の場でノート型パソコンが盗難の被害に遭っていることが報告されています。しかし、このような盗難は、初歩的な対策が取られていれば避けることのできた被害だとされています。

ノートパソコンの盗難はウイルス感染などの攻撃に次いで、2番目に多いコンピューター犯罪です。多数の人が銀行口座番号や住所録など個人情報をコンピューターに保存しているため、ノートパソコンが盗難に遭った場合、大きな影響を及ぼします。また、バックアップデータや失われたソフトウェアを元の状態に戻すのには、多大な時間と費用がかかります。

以下の事項はノートパソコンを盗まれる危険を減らし、重要なデータを守るためのアドバイスです。（注意：本サービスにはコンピュータのハードウェアやソフトウェアなどに関するテクニカルサポートは含まれておりません。それらに関するご質問は、ITコンサルタント、もしくはご購入になられた店舗へご質問ください。）

・パソコンを購入したら即時に製造番号を控え、それをコンピューターとは離れた、安全な場所に保管してください。盗まれた際に警察が追跡し、発見するためにその番号が必要となります。

・パソコンの表面に消えないよう会社名と電話番号を記しておきましょう。この行動はホテルやレストランなどにパソコンを忘れた場合、持ち主の元に戻る確率を高めます。

・自分のパソコンであることをできるだけ明確にしてください。見つけやすくするのと同時に防犯に役立ちます。

・さらに、パソコンに永久的に残るマークなどをつけておくと、中古品として売られる可能性を減少させます。

・購入と同時に製造元へ登録してください。これは盗まれたパソコンが修理などのために製造元に戻された際に目印となり、持ち主の元に戻る可能性を増やします。

・特に大事な文書やファイルはパスワードを使用した安全管理を行ってください。現在のほとんどのソフトウェアはパスワードの機能を持っています。パスワードは決して他人と共有しないでください。

・職場でも警戒してください。窃盗犯は持ち主がパソコンから目を離している隙に日和見的に犯行を行うことが大半です。対策としては、鍵のついたドッキングステーションの使用や、ケーブルロックで机に固定する、そして夜間はノートパソコンを鍵の付いた机の引き出しにしまうことなどが挙げられます。

・パソコンとそのデータを守ることだけではなく、外付けの周辺機器に対しての注意も怠らないようにしてください。仕事場を一定時間は離れる場合は、安全な場所に鍵をかけた状態で、パソコンをしまうようにしてください。

・データのバックアップを一定期間ごとに取ってください。パソコンの中のデータはパソコン本体よりも貴重な場合があります。通常のバックアップに加え、出張などの前にも行いましょう。本体だけでなく、ネットワークドライブやCDロム、圧縮ディスクや外付けハードディスクなどにも保存しましょう。

・仕事で海外にいる際は毎日、その日の終わりにデータをバックアップし、保存したディスクをパソコンとは離れた場所に保管しましょう。

・ノートパソコンをもって旅行する時には、いかにもパソコンを持っていると分かるようなパソコンケースは使用しないでください。代わりにブリーフケースやバックパックなどを使ってください。ノートパソコンの盗難が最も起きやすい場所はホテル、バー、空港、会議場や公衆電話です。

・ケーブルロックを使うことも考えてください。ほとんどのノートパソコンに使え、盗難の可能性を格段に減少させます。

・単純な鍵や鎖を使用することによって、盗難を防ぐ最も効果的な方法になり得ます。

・どのようなワイヤーロックを買うか決められない場合はワイヤーの強度、鍵の性能、そして使いやすさを基準にしてください。使用する際は、ロックを動かず据え付けられたものにかけるようにしてください。

・他にも市場にはパソコンやデータを守る為の様々な防犯グッズが出回っています。例えば、動作感知器やハードディスクロック、追跡装置や指紋を使った認識装置です。これらの使用も考慮に入れることをお勧めします。